[发明专利]基于规则匹配命中率和分布方差的防火墙规则集优化方法

权利要求书

1.基于规则匹配命中率和分布方差的防火墙规则集优化方法，其特征在于所述方法包括如下步骤：

步骤1，规则集预处理，首先对数据集进行屏蔽异常、交叉异常、冗余异常和包含异常的处理，然后通过构造规则树的方法对防火墙规则集进行规则合并；

步骤2，规则权重计算，统计防火墙日志的规则匹配命中率和匹配命中时间分布方差，计算相应防火墙规则的权重值；

步骤2.1，统计防火墙日志，计算规则匹配命中率，计算方法如下：

MF_i＝p_i/P (1)

公式(1)中MF_i表示防火墙规则R_i的匹配命中率，p_i表示R_i在统计周期内匹配命中数据包的数量，P表示整个防火墙规则集在统计周期内匹配命中数据包的数量；公式(2)中p_d表示防火墙规则集中的缺省规则在统计周期内匹配命中数据包的数量，p_i表示包含n条规则的防火墙规则集中第i条规则在统计周期内匹配命中数据包的数量，p_d、p_i从防火墙日志中获取；

步骤2.2，统计防火墙日志，计算规则匹配命中时间分布方差，计算方法如下：

M_i＝p_i/m (4)

公式(3)中TDV_i表示防火墙规则R_i的匹配命中时间分布方差，防火墙规则匹配命中统计周期等分为m个时间段，c_j表示第j个时间段R_i匹配命中数据包的数量，M_i表示R_i平均在每个时间段匹配命中数据包的数量；

步骤2.3，结合规则匹配命中率和匹配命中时间分布方差，计算相应防火墙规则的权重值，计算方法如下：

公式(5)中W_i表示防火墙规则R_i的权重值，MF_i表示防火墙规则R_i的匹配命中率，TDV_i表示防火墙规则R_i的匹配命中时间分布方差，使用函数对TDV_i进行平滑处理；

步骤3，规则优先级调整；

步骤3.1，实时统计当前网络流量的大小，并依此动态调整规则权重计算中日志统计的时间周期；

步骤3.2，根据得出的防火墙规则权重值，动态调整防火墙规则的优先级，将权重值较高的规则放在优先级更高的位置。

2.根据权利要求1所述的防火墙规则集优化方法，其特征在于：步骤1中对防火墙规则集进行规则合并时，需要将防火墙规则集构造成一颗规则树，其结构如下：防火墙规则集表示根节点，它的两个子节点分别是规则动作域属性的接收和拒绝两个特征；动作域节点的子节点是由协议类型、源端口及目的端口三元属性对应的服务；服务节点的子节点是所述服务所对应的防火墙规则的源IP地址；源IP地址节点的子节点是对应防火墙规则的目的IP地址，目的IP地址为规则树的叶子节点；规则树构造结束后，通过检测节点以及子树的属性值来判断能否执行规则合并操作，如果满足当前节点的属性值与待合并节点的属性值连续，并且它们的子树的属性值相同，那么执行合并操作。

3.根据权利要求1所述的防火墙规则集优化方法，其特征在于：步骤3中，根据网络数据流大小对防火墙日志的统计周期T进行动态调整，并在此定义一个参数F来表征当前网络流量大小信息，F的定义如下：

F＝f_current/f_max (6)

其中f_max表示防火墙能够处理的最大网络流量，f_current表示当前网络流量大小，而对网络数据流统计周期T的定义如下：

T_new＝T_old/F (7)

其中T_old为当前网络流量统计周期，T_new为下一个网络流量统计周期，随着防火墙的运行，网络流量统计周期会随着网络流量大小的变化动态调整。